PCT 



WELTORGANISATION FOR GEISTTGES EIGENTUM 
Internationales BQro 

INTERNATIONALE ANMELDUNG VEROFFENTUCHT NACH DEM VERTRAG OBER DIE 
INTERNATIONALE ZUSAMMENARBETT AUF DEM GEBIET DES PATENTWESENS (PCT) 


(51) Internationale Patentklassifikatlon 7 : 
B60T 8/00, GOSB 9/02 


Al 


(11) Internationale VerofFentlichungsnummer: WO 00/46087 

10. August 2000 (10.08.00) 


(43) Internationales 

Vero£Tentlichungsdatuin: 


(21) Internationales Aktenzeichen: PCT/EP0Q/0OS38 

(22) Internationales Anmeldedatum: 25. Januar 2000 (25.01 .00) 


(30) Prioritatsdaten: 
199 03 934.8 
199 29 155.1 
199 39 872.0 


1. Februar 1999 (01 .02.99) DE 
25. Juni 1999 (25.06.99) DE 
24, August 1999 (24.08.99) DE 


(71) Anmelder (fur alle Bestimmungsstaaten ausser US): CONTI- 

NENTAL TEVES AG & CO. OHG [DE/DE]; Guerick- 
strasse 7, D-60488 Frankfurt am Main (DE). 

(72) Erfinder; und 

(75) Erfinder/Anmelder (nurfilr US): DING, Eve, Limin [DE/DE]; 
Hdriitzerstrasse 11, D-01968 Senftenberg (DE). 

(74) Gemeinsamer Vertreter: CONTINENTAL TEVES AG & 
CO. OHG; Guerickestrasse 7, D-60488 Frankfurt am Main 
(DE). 


(81) Bestimmungsstaaten: CN, JP, KR, US, europfiisches Patent 
(AT, BE, CH, CY, DE, DK, ES, FI, FR, GB, GR, IE, IT, 
LU, MC, NL, PT, SE). 


VerofTentlicht 

Mit internaiionalem Recherchenbericht. 


(54) Title: METHOD AND DEVICE FOR SENSOR MONITORING, ESPECIALLY FOR AN ESP SYSTEM FOR MOTOR VEHICLES 

(54) Bezeichnung: VERFAHREN UND VORRICHTUNG ZUR SENSOR tJBERWACHUNG, INSBESONDERE FOR EIN 
ESP-SYSTCM FOR FAHRZEUGE 


(57) Abstract 

The invention relates to a method and de- 
vice for sensor monitoring, whereby said sensors 
detect individual management variables or mea- 
sured variables (A, B, C) relating to a process 
(32). The inventive method and device are suit- 
able for use with an electronic stability program 
(ESP) for a motor vehicle. A particularly high 
degree of reliability can be attained by monitor- 
ing the characteristics of the output signals of 
the sensors in a cyclical and sequential manner, 
whereby analytical redundancies are produced 
for a normal operational mode with the aid of a 
multiprocess model (31) on the basis of process 
management and measured variables (A, B) that 
are not monitored in real time, whereupon said 
redundancies are used along with the output sig- 
nal that is to be monitored in real time in order 
to form (33) a residuum. An error signal (F) 
is produced if the residuum attains a threshold 
value once the residuum has been evaluated (36) 
and compared to said threshold value (35). 


nr 

i j 
i 
i 
i 

i i 


L 

r 
i 
i 
i 
i 

i 
i 

i i 
L 


32 


B 


t; 


31 


A 

y 


33 


~30i 
i 
i 
i 
i 
i 
i 

\ 


"34] 


35 


37 


36 


LI" 


T 


100 


(57) Zusammenfassung 

Es wild ein Verfahren und cine Vorrichtung zur Cbcrwachung von Scnsorcn, die jeweils einzelne ProzeBfilhrungs- Oder 
ProzeBrneBgroBen (A, B, Q eines Prozesses (32) erfassen, bcschrieben, das/die insbesondere fOr ein elektronisches Stabilitatsprogramm 
(ESP) fur Fahrzeuge geeignet ist Erne besonders bohe Zuverlassigkeit wild durch eine zyklischsequentielle tJberwachung des Verlaufes 
der Ausgangssignale der einzelnen Sensoien erreicht, indem aus aktuell nicht zu flbcrwachenden ProzefifQhrungs- und ProzeBmeBgrBBen 
(A, B) mit Hilfe eines MehrfachprozeBmodells (31) fur einen Noimalbetrieb analytische Redundanzen erzeugt werden, aus denen mit dem 
aktuell zu uberwachenden Ausgangssignal ein Residuum gebildet (33) wild. Nach Auswertung des Residuums (36) und Vergleich mit 
einem Schwellwert (35) wild ein Fehlersignal (F) erzeugt, wenn das Residuum den Schwellwert errcicht 
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Verfahren und Vorrichtung zur Sensoruberwachung insbesonde- 
re fur ein ESP-System fur Fahrzeuge 

Die Erfindung betrifft ein Verfahren und eine Vorrichtung 
zur Uberwachung von Sensoren, die jeweils einzelne Prozeft- 
fuhrungs- oder ProzeftmefigroBen eines Prozesses erfassen, 
insbesondere fur ein elektronisches Stabilitatsprogramm 
(ESP) fur Fahrzeuge. 

Elektronische Stabilitatsprogramme dieser Art sind fahrdy- 
namische Regelsysteme fiir Fahrzeuge, die dazu dienen, den 
Fahrer in kritischen Fahrsituationen wahrend des Bremsens, 
Beschleunigens und Lenkens zu unterstiitzen und dort einzu- 
greifen, wo der Fahrer selbst keine direkte Eingrif f smog- 
lichkeit hat. Das Regelsystem unterstiitzt den Fahrer beim 
Bremsen, insbesondere auf einer Fahrbahn mit niedrigem oder 
wechselndem Reibwert, auf der das Fahrzeug wegen blockie- 
render Rader nicht mehr steuerbar sein oder ins Schleudern 
geraten konnte, ferner beim Beschleunigen, wobei die Gefahr 
des Durchdrehens der Antriebsrader besteht, sowie schlieli- 
lich beim Lenken in einer Kurve, in der das Fahrzeug liber- 
oder untersteuern konnte. Insgesamt wird damit nicht nur 
der Komfort, sondern auch die aktive Sicherheit wesentlich 
verbessert. 

Einem solchen Regelsystem liegt ein geschlossener Regel- 
kreis zugrunde, der im Normalbetrieb des Fahrzeugs typische 
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Regelauf gaben ubernimmt und in extremen Fahrsituationen das 
Fahrzeug so schnell wie moglich abfangen soli. Als Istwert- 
geber sind dabei Sensoren zur Erfassung der verschiedenen 
f ahrdynamischen Parameter von besonderer Bedeutung. Eine 
plausible Regelung setzt voraus, dali die Sensoren den Ist- 
zustand der Regelstrecke korrekt wiedergeben. Dies ist bei 
Fahrstabilitatsregelungen in extremen Fahrsituationen, in 
denen eine Regelabweichung schon innerhalb einer sehr kur- 
zen Zeit ausgeregelt werden mufi, besonders wichtig. Aus 
diesem Grunde mussen bei einem elektronischen Stabilitats- 
programm die ESP-Sensoren (Gierratensensor, Querbeschleuni- 
gungssensor, Lenkwinkelsensor ) standig uberwacht werden. 
Eine entsprechende Online-Sensoruberwachung hat den Zweck, 
Fehler in den ESP-Sensoren friihzeitig zu erkennen, damit 
eine Fehlregelung, die das Fahrzeug in einen sicherheits- 
kritischen Zustand bringen konnte, ausgeschlossen wird. 

Der Erfindung liegt deshalb die Aufgabe zugrunde, ein Ver- 
fahren und eine Vorrichtung zur Uberwachung von Sensoren 
der eingangsgenannten Art zu schaffen, das/die eine insbe- 
sondere fur ein elektronisches Stabilitatsprogramm (ESP) 
fur Fahrzeuge erf orderliche Zuverlassigkeit aufweist. 

Gelost wird diese Aufgabe gemafl Anspruch 1 mit einem Ver- 
fahren der eingangsgenannten Art, das sich auszeichnet 
durch eine zyklisch-sequentielle Oberwachung des Verlaufes 
der Ausgangssignale der einzelnen Sensoren mit folgenden 
Schritten: Erstellen analytischer Redundanzen fur eine ak- 
tuell zu uberwachende Prozelif uhrungs- oder Prozefimefigr6Ae 
aus aktuell nicht zu uberwachenden Prozefif lihrungs- und/oder 
ProzefimefJgrdfcen eines aktuell betriebenen Prozesses mittels 
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eines Mehrf achprozefimodells fiir einen Normalbetrieb, Erzeu- 
gen von Residuen durch Subtraktion der erstellten, redun- 
danten analytischen Redundanzen von der aktuell zu liberwa- 
chenden Prozeftf uhrungs- Oder Prozefimeftgr6Iie, Auswerten der 
Residuen mit einer Residuenauswertef unktion und Vergleichen 
des ausgewerteten Residuums mit einem vorgegebenen Schwell- 
wert und Erzeugen einer Fehlermeldung, wenn das Residuum 
den Schwellwert fiir mindestens eine vorbestimmte Oberwa- 
chungszeit erreicht. 

Die Aufgabe wird ferner gemali Anspruch 9 mit einer Vorrich- 
tung der eingangs genannten Art gelost, die sich auszeich- 
net durch eine erste Einrichtung zur Berechnung analyti- 
scher Redundanzen fur eine aktuell zu Uberwachende ProzeJi- 
fuhrungs- oder Prozeftmefigrofie aus aktuell nicht zu uberwa- 
chenden Prozeftf uhrungs- und/oder ProzeJimeBgrGfien eines ak- 
tuell betriebenen Prozesses mittels eines Mehrf achpfozelSmo- 
dells fiir einen Normalbetrieb, eine zweite Einrichtung zur 
Erzeugung von Residuen durch Subtraktion der errechneten, 
redundanten analytischen Redundanzen von der aktuell zu 
iiberwachenden Prozefcf uhrungs- oder ProzeBmefigrdBe, eine 
dritte Einrichtung zur Auswertung der Residuen mit einer 
Residuenauswertef unktion, eine vierte Einrichtung zur Er- 
zeugung eines Schwellwertes, sowie eine funfte Einrichtung 
zum Vergleichen des ausgewerteten Residuums mit dem 
Schwellwert und zum Erzeugen einer Fehlermeldung, wenn das 
Residuum den Schwellwert fur mindestens eine vorbestimmte 
Oberwachungszeit erreicht. 

Die Unteranspruche haben vorteilhafte Weiterbildungen der 
Erfindung zum Inhalt. 
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Weitere Einzelheiten, Merkmale und Vorteile der Erfindung 
ergeben sich aus der folgenden Beschreibung einer bevorzug- 
ten Ausf iihrungsf orm anhand der Zeichnung. Es zeigt: 

Fig. 1 ein Blockschaltbild eines f ahrdynamischen Regelsy- 
stems; 

Fig. 2 eine schematische Darstellung der Struktur eines 
ESP-Systems; 

Fig. 3 das Grundprinzip eines Fehlerdiagnosesys terns; 

Fig. 4 eine Struktur eines modellgestutzten Oberwachungssy- 
stem fur die ESP-Sensoren; 

Fig. 5 ein Blockschaltbild einer erf indungsgemafien Sensor- 
uberwachung; 

Fig. 6a, b, c eine Darstellung der Mefiergebnisse bei einer 
Fehlersimulation; und 

Fig. 7a, b, c eine Darstellung der Mefiergebnisse bei einem 
Wedelmanover . 

Der Vorgang des Autof ahrens kann gemaft Figur 1 im rege- 
lungstechnischen Sinne als ein Regelkreis betrachtet wer- 
den, bei dem ein Fahrer 1 den Regler und ein Fahrzeug 2 die 
Regelstrecke darstellt. Die FuhrungsgroBen sind dabei die 
personlichen Fahrwunsche FW des Fahrers, die er durch eine 
fortlaufende Beobachtung des Strafienverkehrs erstellt. Die 
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Istwerte IF sind die Momentanwerte fur Fahrtrichtung und 
Geschwindigkeit, die der Fahrer iiber seine Augen bzw. das 
Fahrgefuhl erfafit. Die Stellgroften SF sind schlieftlich der 
Lenkradwinkel, die Stellung des Getriebes sowie die Stel- 
lungen von Gas- und Bremspedal, die von dem Fahrer aufgrund 
der Abweichungen zwischen den Soil- und den Istwerten er- 
stellt werden. 

Fine derartige Regelung wird haufig durch Storungen S wie 
Reibwertanderungen, Fahrbahnunebenheiten, Seitenwind Oder 
andere Einflusse erschwert, da der Fahrer diese nicht pra- 
zise erfassen kann, jedoch bei der Regelung beriicksichtigen 
muft. Aus diesem Grunde kann der Fahrer 1 zwar im allgemei- 
nen die ihm iibertragenen Aufgaben, namlich den Prozefi des 
Autofahrens zu regeln und zu beobachten, in normalen Fahr- 
zustanden aufgrund seiner Ausbildung und der gesammelten 
Erfahrung ohne Schwierigkeiten bewaltigen. In Extremsi'tua- 
tionen und / oder bei den genannten auliergewohnlichen Fahr- 
zustanden, bei denen die physikalischen Reibkraf tgrenzen 
zwischen der Fahrbahn und den Reifen iiberschritten werden, 
besteht jedoch die Gefahr, daft der Fahrer zu spat oder 
falsch reagiert und die Kontrolle uber sein Fahrzeug ver- 
liert . 

Um auch diesen Fahrsituationen Rechnung tragen zu konnen r 
wird das f ahrdynamische Regelsystem mit einem unterlagerten 
Regelkreis 3 (ESP) erganzt, der gemali Figur 1 einen Re- 
gelalgorithmus 4, eine Systemuberwachung 5 und einen Feh- 
lerspeicher 6 umfaBt. Gemessene Fahrzustandsgrolien werden 
dabei der Systemuberwachung 5 und dem Regelalgorithmus 4 
zugefuhrt. Die Systemuberwachung 5 erzeugt ggf. eine Feh- 
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lermeldung F, die dem Fehlerspeicher 6 und dem Regelalgo- 
rithmus 4 zugefiihrt wird. Der Regelalgorithmus 4 beauf- 
schlagt dann in Abhangigkeit von den vom Fahrer 1 erzeugten 
Stellgroften das Fahrzeug 2. Mit diesem Regelkreis werden 
typische Regelauf gaben ausgefuhrt. In extremen Fahrsitua- 
tionen wird das Fahrzeug so schnell wie moglich wieder ab- 
gef angen . 

Figur 2 zeigt die Struktur eines solchen Regelkreises, der 
im wesentlichen ein Antiblockiersystem 10, eine Antriebs- 
schlupf regelung 11 und eine Giermomentregelung 12 umfaftt. 
Weiterhin sind ein Gierratensensor 13, ein Querbeschleuni- 
gungssensor 14, ein Lenkwinkelsensor 15, ein Drucksensor 16 
und vier Radgeschwindigkeitssensoren 17 vorgesehen, die so- 
wohl als Istwertgeber zur Ermittlung der Regelabweichung, 
als auch zur Bildung eines Gierratensollwertes und ver- 
schiedener^ZwischengroBen .eingesetzt werden. 

Die von dem Fahrer 1 durch Betatigung eines Gas- und Brems- 
pedals sowie des Lenkrades erzeugten Prozefif iihrungsgroiien 
werden der Antriebsschlupf regelung 11, dem Antiblockiersy- 
stem 10 und dem Drucksensor 16 beziehungsweise dem Lenkwin- 
kelsensor 15 zugefligt. Fahrzeugspezif ische Nichtlinearita- 
ten, Schwankungen der Reibwerte, Seitenwind-Einf lusse usw. 
sind als Storungen oder unbekannte Groiien 18 zusammengefaBt 
und beeinflussen die Fahrzeug-Langs- und Querdynamik 19. 
Diese Dynamik 19 wird ferner durch die genannten Fuhrungs- 
groiien sowie die Ausgangssignale einer Motormanagementein- 
heit 20 beeinfluflt und beaufschlagt die Radgeschwindig- 
keitssensoren 17, den Gierratensensor 13, den Querbeschleu- 
nigungssensor 14 sowie den Drucksensor 16. Eine Regelarbi- 
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tratio.n 21, der die Ausgangssignale des Antiblockiersystems 
10, der Antriebsschlupf regelung 11, der Giermomentregelung 
12 und eines Bremseneingrif f salgorithmus 22 zugefiihrt wer- 
den, dient zur Prioritatsverteilung dieser Signale im Hin- 
blick auf ihr Einwirken auf die Motormanagementeinheit 20 
Oder direkt auf die Fahrdynamik 19. Der Bremseneingrif f sal- 
gorithmus 22 wird dabei von der Giermomentregelung 12 und 
dem Drucksensor 16 beauf schlagt . Schlieftlich ist eine Fahr- 
zustandserkennung 23 vorgesehen, der die Signale des Lenk- 
winkelsensors 15, des Gierratensensors 13, des Querbe- 
schleunigungssensors 14 sowie der Radgeschwindigkeitssenso- 
ren 17 zugefiihrt werden und deren Ausgangssignale die Gier- 
momentregelung 12 sowie ein Einspurref erenzmodell 24, mit 
dem eine gewunschte Soll-Gierrate erzeugt wird, beauf- 
schlagt . 

Wie bereits erlautert wurde, - kann "ein falsches Sensorsignal * 
eine gefahrliche unplausible Regelung verursachen. Ein Aus- 
fall des Gierratensensors 13 kann zum Beispiel dazu fiihren, 
dafc ein Zusatzgiermoment das Fahrzeug plotzlich zur Seite 
zieht, obwohl der Fahrer geradeaus fahren will. Dies riihrt 
daher, daB wahrend einer Geradeausf ahrt der Lenkwinkel und 
damit der Sollwert der Gierrate gleich Null ist, der Ist- 
wert der Gierrate wegen des Sensorausf alls jedoch einen un- 
bestimmten Wert hat, so daB die Giermomentregelung 12 zur 
Ausregelung dieser Regelabweichung ein Zusatzgiermoment er- 
zeugt. Aus diesem Grund ist eine Online-Oberwachung der 
Sensoren von grolier Bedeutung. Diese Oberwachung muft einen 
Sensorausfall so fruhzeitig erkennen konnen, daft das ESP- 
System rechtzeitig teilweise oder ganz stillgelegt werden 
kann . 
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Das erf indungsgemafie Sensoruberwachungskonzept besteht aus 
einer mehrstufigen Funktionalitatspruf ung der Sensoren, in 
der zwei Verfahren angewendet werden: Einerseits wird eine 
elektrische Uberwachung durchgef uhrt , mit der gepriift wird, 
ob die zu uberwachenden Sensorsignale innerhalb ihrer zuge- 
lassenen Fehlerbander iiegen. Andererseits wird eine analy- 
tisch redundant gestiitzte Uberwachung vorgenommen, mit der 
die Signale in ihren Gesamtnutzbereichen iiberwacht werden. 

In einer ersten Stufe werden durch die elektrische Uberwa- 
chung die Sensorversorgungsspannung und die Verkabelung ge- 
priift. In einer zweiten Stufe werden solche Sensoren, die 
aufgrund ihrer Bedeutung "intelligent" konstruiert sind, 
laufend durch sich selbst gepriift. Bei einem internen Sen- 
sorausfall geht das Sensorsignal in das Fehlerband. Folg- 
lich lassen sich solche Sensorfehler auch durch die elek- 
trische Uberwachung erf assent 

Mit der elektrischen Uberwachung wird dabei ausschliefSlich 
gepriift, ob die Sensorsignale in ihren Giiltigkeitsbereichen 
liegen. Eine Erfassung anderer Sensorfehler, wie zum Bei- 
spiel eine falsche oder gelockerte Einbaulage, eine Mas- 
seunterbrechung ist damit jedoch nicht moglich. Aus diesem 
Grunde werden in einer dritten Stufe zyklisch-sequentiell 
die Verlaufe der einzelnen Sensorsignale in ihren Nutzbe- 
reichen uberwacht, und zwar mittels analytischer Redundan- 
zen, die aus den aktuell nicht Uberwachten Sensor- 
Ausgangssignalen aufgrund ihrer physikalischen Abhangigkei- 
ten berechnet werden. Hierfur wird ein modellgestutztes 
ESP-Oberwachungs- und Fehlerdiagnosesystem geschaffen, des- 
sen Grundstruktur in Figur 3 dargestellt ist. 
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Das Fehlerdiagnosesystem 100 besteht im wesentlichen aus 
zwei Teilen, namlich einem Residuengenerator 30 und einer 
Residuenauswerteeinheit 34 . 

Der Residuengenerator 30 umfafit eine erste Einrichtung 31 
zur Berechnung analytischer Redundanzen aus aktuell nicht 
zu uberwachenden Prozeftf uhrungsgrofien A und/oder den durch 
einen aktuell betriebenen ProzeB 32 erzeugten und aktuell 
nicht zu uberwachenden Prozefimefigroften B, und zwar fur eine 
aktuell zu uberwachende Prozeiif Qhrungs- oder Prozelimeiigrolie 
C unter Anwendung eines Mehrf achprozefimodells (G1-G4; Ql- 
Q4; L1-L4, siehe unten) ftir einen Normalbetrieb. Weiterhin 
ist eine zweite Einrichtung 33 zur Erzeugung von Residuen r 
durch Subtraction der errechneten, redundanten analytischen 
Redundanzen von der aktuell zu uberwachenden Prozeflfiih- 
rungs- oder Prozefimefigrofie C vorgesehen. 

Die Residuenauswerteeinheit 34 umfaftt eine dritte Einrich- 
tung 36 zur Auswertung der Residuen r mit einer Residuen- 
auswertef unktion, sowie eine vierte Einrichtung 35 zur Er- 
zeugung eines Schwellwertes . Dieser Einrichtung 35 werden 
auch die aktuell nicht zu uberwachenden Prozeftf uhrungs- 
und/oder Prozefcmeftgroflen A, B zugefuhrt, urn den Schwellwert 
bei einer relativ hohen Ungenauigkeit des Mehrf achprozeJimo- 
dells anheben und bei einer relativ geringen Ungenauigkeit 
des Modells absenken zu konnen. SchlieBlich ist eine funfte 
Einrichtung 37 zum Vergleichen des ausgewerteten Residuums 
mit dem Schwellwert und zum Erzeugen einer Fehlermeldung F 
vorgesehen, wenn das Residuum den Schwellwert fur minde- 
stens eine vorbestimmte Oberwachungszeit erreicht. 
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Zur Verdeutlichung der der Erfindung zugrundeliegenden Pro- 
blematik sowie zum Verstandnis der in Figur 3 allgemein 
dargestellten erf indungsmaften Losung sollen zunachst fol- 
gende Hintergrundinformationen gegeben werden: 

Bei Verwendung nur eines einzigen Prozeftmodells (anstelle 
eines Mehrf achmodells) zur Residuenerzeugung kann man zwar 
bereits Inf ormationen iiber den aktuellen Prozeftzustand und 
damit auch iiber mogliche Fehlf unktionen gewinnen. Aller- 
dings hangt die Leistungsf ahigkeit sehr stark von der Qua- 
litat des angewandten Prozeftmodells ab. Wenn die Ungenauig- 
keiten des Prozeftmodells steigt, ist es erf orderlich, den 
Schwellwert zu erhohen, um einen Fehlalarm zu vermeiden. 
Dies hat dann wiederum zur Folge, daft zahlreiche Fehler un- 
bemerkt bleiben. Versucht man im Gegensatz dazu, die Genau- 
igkeit des Prozeftmodells zu erhohen, was gleichzeitig eine 
Steigerung- der Modellkomplexitat bedeutet, so scheitert man- 
in der Praxis haufig an dem mit der Implementierung des Mo- 
dells verbundenen hohen Aufwand bei der Online-Berechnung 
und dem hohen Anspruch an die Entwicklung und Wartung. 
Folglich spielt ein Kompromift zwischen der Modellgenauig- 
keit und der Einstellung der Schwellwerte und damit .der Sy- 
stemempf indlichkeit eine zentrale Rolle bei der Entwicklung 
eines modellgestutzten ESP-Fehlerdiagnosesystems • 

Zu berucksichtigen ist dabei auch, daft der Prozeft des Auto- 
fahrens bekanntlich in starkem Mafte durch viele unbekannte 
Umgebungsf aktoren gepragt ist. Hinzu kommt noch, daft die 
Fahrdynamik nur bis zu einem gewissen Grad mathematisch be- 
schrieben werden kann. Andererseits ist die Grenze der Im- 
plementierbarkeit von Anfang an durch die Hardware- 
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Bedingung festgelegt. Alle diese Randbedingungen verlangen 
einen Losungsansat z, der zwar auf dem Prinzip der modellge- 
stiitzten Verfahren basiert, dessen Einsatz jedoch in einem 
ESP-System gerechtf ertigt sein muJS. 

Die Grundidee der modellgestutzten Fehlerdiagnose ist die 
Priifung physikalischer Gesetzmafiigkeiten, die in Form eines 
mathematischen Modells dargestellt sind. Es sei angenommen, 
daft 

y - f (u lr . . . ,u m ) [Gl. 1] 

eine dieser physikalischen Gesetzmafiigkeiten beschreibt, 
wobei y das Ausgangssignal des zu uberwachenden Sensors be- 
zeichnet und ui,...,u m die bekannten oder gemessenen physi- 
kalischen Groften und f eine mathematische Funktionen dar- 
steilt. In diesem Fall wird die analytische Redundanz y 
aus 

>? = /(u 1 ,...,« m ) 

gebildet und das Residuum r ergibt sich wie folgt: 

r = y-y 

Das Residuum ist im fehlerfreien Fall im wesentlichen 
gleich Null. Wenn ein Sensorfehler auftritt, verliert diese 
Gesetzmafiigkeiten ihre Gultigkeit, so daft das Residuum si- 
gnifikant von Null abweicht. Die Schwierigkeit bei der Um- 
setzung dieser Idee liegt darin, daft das Modell den Prozefi- 
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ablauf nur teilweise beschreibt. Diese sogenannte Modellun- 
genauigkeit laftt sich durch eine Erweiterung des ProzeJJmo- 
dells zu 

y = /(w,,...,w OT ) + A 

ausdrucken, wobei A eine unbekannte Grofie ist, die von 
dem ProzeBzustand abhangig ist. Eine zuverlassige modellge- 
stutzte Fehlerdiagnose setzt voraus, daft der EinflulJ von A 
auf das Residuum r moglichst gering gehalten wird. 

Es gibt prinzipiell zwei Wege, urn den EinfluB von A zu un- 
terdrlicken: 

1. ) Erhohung der Robustheit des Oberwachungssystems durch 
Anwendung modemer.. robuster. .Regelungstheorien : dies ist ein 
passiver Weg, der im aligemeinen einen aufwendigen Entwurf 
und einen hoheren Rechenauf wand (sowohl Off-Line, als auch 
On-Line) erf ordert . 

2. ) Gewinnung zusatzlicher Informationen: dies ist ein ak- 
tiver Weg, der sich auf zwei Arten realisieren laftt, und 
zwar einerseits durch eine Verbesserung des Modells, was 
eine Gewinnung der Off-Line-Information, jedoch gleichzei- 
tig auch einen zusatzlichen On-Line-Rechenaufwand bedeutet, 
andererseits durch eine Ausnutzung von zusatzlichen On- 
Line-Informationen. Dieser Weg hat sich zur erf indungsgema- 
iien Losung der genannten Problematik als besonders vorteil- 
haft erwiesen. 
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Die Nutzung der zusatzlichen On-Line-Inf ormationen ermog- 
licht es, fur einen zu uberwachenden Sensor ein mehrfaches 
(redundantes) Modell zu bilden und ferner das Verhalten und 
die Funktionalitat dieses Sensors zu rekonstruieren, und 
zwar anhand der Signale von unterschiedlichen, nicht zu 
uberwachenden Sensoren bzw. Signalquellen. Diese redundante 
analytische Redundanz erhoht zum einem die Zuverlassigkeit 
des Uberwachungssystems, zum anderen aber auch die Robust- 
heit gegen Modellungenauigkeiten. Im folgenden wird eine 
bevorzugte Ausf uhrungsf orm des erf indungsgemaBen Verfahrens 
vorgestellt, mit dem diese Grundidee umgesetzt werden kann. 

Es sei angenommen, daB fQr das Verhalten eines zu uberwa- 
chenden Sensorsignals mit folgendem Gleichungssystem 

y = fi (u u , . . . ,ujj + A 2 f PZ e GBi 


y = f n ( Uni , . . - , u nm ) + A „ , PZ e GB n 

ein Modell gebildet werden kann, wobei Uij, i = l,...,n; j 
= l,...,m Signale aus unterschiedlichen Quellen bezeichnen 
und fi,... f f n Teilmodelle, A,,...A n Modellungenauigkeiten der 
einzelnen Teilmodelle, PZ den ProzeBzustand und GB ir i = 
l,...,n den Bereich, in dem das Teilmodell gultig ist, be- 
zeichnen. 

Die Gultigkeit und die Modellungenauigkeit der einzelnen 
Teilmodelle sind von dem ProzeBzustand abhangig. Das Pro- 
blem besteht nun darin, anhand des Mehrf achmodells ein Re- 
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siduum zu bilden, das auf der einen Seite fur die zu ent- 
deckenden Fehler empfindlich und auf der anderen Seite ge- 
gen Modellungenauigkeiten robust ist. 

Die Fahrsituationen werden hierzu in zwei Gruppen einge- 
teilt : 

1. ) Instationare Fahrverhalten, bei denen die Modellunge- 
nauigkeit stark ausgepragt ist und nur eine geringe Anzahl 
von Teilmodellen gultig ist und 

2. ) Stationare Fahrverhalten, deren Gemeinsamkeit darin be- 
steht, daft die Mehrzahl von Teilmodellen gultig ist und daB 
deren Modellungenauigkeit gering ist. 

Zu 1.): Instationares Fahrverhalten: Da der absolute Wert 
des Residuums als Residuenauswertef unktion verwendet wird, 
ergibt sich das Residuum r 

Irl-ly-^il-ly- ft (u n , . . . ,u im ) \ 

= mini { I y - fi (un, . . . , u iB ) I , i = 1, . . . , n } [Gl. 

2] 

von alien moglichen Residuen am robustesten gegen Modellun- 
genauigkeiten und gleichzeitig auch am unempf indlichsten 
gegen Fehler. Somit wird fur diese Fahrsituation festge- 
legt : 
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Wenn die Anzahl der gultigen Teilmodelle deutlich kleiner 
ist als eine vorgegebene Zahi {<< n), dann wird das Residu- 
ums nach dem Prinzip gemafi [Gl. 2] ausgewertet. 

Wir nennen diese Regel "minimum of all", deren Grundidee 
darin besteht, daft im instationaren Bereich, wo die Model- 
lungenauigkeit stark ausgepragt ist, die Robustheit ver- 
starkt gewichtet wird. 

Zu 2.): Stationares Fahrverhalten: Wenn 

PZ e GBi n GB 2 n , c\ GB^ 

ist, was bedeutet, daB alle oder fast alle Teilmodelle giil- 
tig sind und somit im allgemeinen ein normaler ProzeBzu- 
stand gegeben ist, wird das Residuum mit dem nachstehenden 
Algorithmus ausgewahlt: 

Schritt 1: Bildung des Mittelwertes y 

n 

y =1 / n + i ( Z 9±+ 9i + i)* 9l + i = y 


Schritt 2: Berechnung von | y - y i \ , i = l,...,n+l und 
Auswahl von y iU y i2t y i3 , welche die geringsten Abweichun- 
gen von y aufweisen, d.h. 
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j g { 1, . • . , n+1 } 

Schritt 3: Bildung des Residuums r: 

Es sei angenommen, daft yn < y i2 £ y±3 ist, dann gilt 
r = y - y x2 

Urn das Funktionsprinzip dieses Algorithmus zu erlautern, 
betrachten wir zwei Falle: 

a.) Fehlerfreier Betrieb: in diesem Fall gilt far den "best 
case": 

JP12 = y => r = y - y = 0 

Dies bedeutet, daft die Modellungenauigkeit keinen Einfluft 
auf das Residuum hat. Fur den "worst case" gilt: 

y e { y 11, J?i2/ 9n ) => r = y - y i2 

Die maximal mogliche Abweichung laftt sich damit gemaii fol- 
gender Gleichung 

\y-9i2\ = ly-y+y-y i2 l < ly - y I + \y-y± 2 \ ^ 2 ly-yi 

begrenzen. Da die Bildung des Mittelwertes die Modellunge- 
nauigkeit in den meisten Fallen unterdruckt, wird auch die 
durch die Modellungenauigkeit verursachte Abweichung gering 
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gehalten . 

b.) Sensorf ehler : in diesem Fall gilt fur den "normal ca- 
se": 

y « { 9xi, 9i2, 9x3 ) => r = y - 9i 2 * o 

Wegen des Fehlers wird das Sensorsignal y stark von seinem 
normalen Wert und damit auch von y ik/ k = 1, 2, 3 abwei- 
chen. Als Folge ist die Differenz zwischen y und y i2 groli. 
Fur den "worst case" gilt: 

y i2 = y=>r = y- y = 0 

Dies bedeutet, daft der Fehler nicht detektierbar ist. Die- 
ser Fall kann aber nur dann auftreten, wenn die Grofie des 
Fehlers im Bereich der Modellungenauigkeit liegt* Damit 
wird auch gezeigt, dali die Leistungsgrenze des Oberwa- 
chungskonzeptes im wesentlichen von der Modellungenauigkeit 
bestimmt wird. 

Wie bereits erlautert wurde, setzt das Konzept der Residu- 
enerzeugung eine Prufung der Modellgultigkeit voraus. Diese 
besteht aus einer Prufung der ZuverlSssigkeit der Signale, 
die zur Residuenerzeugung verwendet werden sollen, sowie 
einer Prufung der Modellgultigkeit entsprechend der Fahrsi- 
tuation. 

Ein Signal wird als zuverlassig bezeichnet, wenn es soft- 
ware- Oder hardwaremaftig gepruft ist. Die zuverlassigen Si- 
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gnale konnen entweder Signale aus den anderen Teilf unktio- 
nen des Systems oder Signale aus den anderen Sensoren sein, 
was eine gegenseitige Oberwachung bedeutet. Dies sind die 
On-Line-Informationen, die zur Bildung des Mehrf achmodells 
genutzt werden. 

Wie bereits gezeigt wurde, hangt das erzeugte Residuum 
stark von der Modellungenauigkeit ab, die sich wiederum 
durch unterschiedliche Fahrsituationen beeinflussen laftt. 
Es ist daher wunschenswert , eine Residuenauswerteeinheit zu 
entwickeln, die sich adaptiv den Fahrsituationen anpafit. 

Wie allgemein bekannt ist, laftt sich das Fahrverhalten wah- 
rend einer stationSren Fahrt sehr genau beschreiben. Im Ge- 
gensatz dazu ist ein hochdynamisches Fahrmanover mathema- 
tisch schwer nachzubilden. Es ist daher vorteilhaft, Fahr- 
situationen von Fall zu Fall zu iintierscheiden und auf die- 
ser Basis die Oberwachungsschwellen und -zeiten adaptiv 
einzustellen. Die Anpassung der Oberwachungsschwellen soil 
einerseits dazu fuhren, daft beim Auftreten eines unplau- 
siblen Sensorsignals eine Fehlermeldung rechtzeitig ausge- 
lbst wird, und andererseits falsche Fehlermeldungen, die 
aufgrund der Ungenauigkeit der Nachbildung verursacht wer- 
den konnen, verhindert werden. Dies bedeutet, daB in einer 
Fahrsituation, in der die Genauigkeit der Sensorsignalnach- 
bildung gering ist, die Schwelle hoch und die Oberwachungs- 
zeit lang eingestellt und im anderen Fall die Schwelle ab- 
gesenkt und die Uberwachungszeit verkurzt werden mufc. 

Nachfolgend soil nun die Umsetzung des im letzten Abschnitt 
vorgestellten Konzeptes zur Oberwachung der drei wichtigen 
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ESP-Sensoren namlich Gierratensensor , Querbeschleunigungs- 
sensor und Lenkradwinkelsensor beschrieben werden. 

Figur 4 zeigt die Struktur des modellgestiitzten Oberwa- 
chungssystems fur die ESP-Sensoren, namlich einen Gierra- 
tensensor 13, einen Querbeschleunigungssensor 14 und einen 
Lenkwinkelsensor 15. Fur die Oberwachung jedes ESP-Sensors 
stehen vier redundante Modelle zur Verfugung, solange diese 
giiltig sind. Dies sind fiir den Gierratensensor 13 die Mo- 
delle Gl bis G4 r fur den Querbeschleunigungssensor 14 die 
Modelle Ql bis Q4 und fur den Lenkwinkelsensor 15 die Mo- 
delle LI bis L4 . Die mathematische Realisierung der Prozeli- 
modelle und ihre Gultigkeit ist in Tabelle 1 zusammenge- 
fafit. Die in der Tabelle verwendeten Symbole haben folgende 
Definition: 

y> m - Mbciellgierrate, 

^qm - Modellquerbeschleunigung; 

S lja - Modellenkradwinkel; 

^ - Gierrate; 

a q - Querbeschleunigung; 

6, - Lenkradwinkel; 

i L - Lenkubersetzung; 
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1 - Radstand; 


S - Spurweite des Fahrzeugs; 

v C h - charakterist ische Fahrgeschwindigkeit. 

Tabelle 1: 


Tabelle 
1 

Gleichungen 

Gultigkeitsbedingungen 

Modell 
Gl 

V vr "~ V vl 

w — 

Die vorderen zwei R^der sind 
nicht in Schlupf, 

ihre Fehlerflags sind nicht ge- 
setzt und - • ■ • 

die Nachbildung liegt im giilti- 
gen Bereich. 

Modell 
G2 

Vm S 

Die hinteren zwei Rader sind 
nicht in Schlupf, 

ihre Fehlerflags sind nicht ge- 
setzt und 

die Nachbildung liegt im gillti- 
gen Bereich. 

Modell 


Die Fahrgeschwindigkeit muli gro- 
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G3 

a , 

* - = v , 

re/ 

fter als Null sein. 

Modell 
G4 

1// — — 

keine Gegenlenkung, 

keine grofte Lenkung bei hoher 
Fahrzeuggeschwindigkeit . 

Modell 
Ql 


siehe Bedingungen von Modell Gl 

Modell 
Q2 

V — V 

a = v , *' *' 

siehe Bedingungen von Modell G2 

Modell 



Modell 
Q4 

' 0 + (-^) 2 ) 


Modell 
LI 


siehe Bedingungen von Modell Gl 
und G3 

Modell 
L2 


siehe Bedingungen von Modell G2 
und G3 

Modell 
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L3 

S lm =-^-(l + (^) J V 

V rrf V ch 

siehe Bedingungen von Modell G3 

Model 1 
L4 


siehe Bedingungen von Modell G3 


Die Modelle sind in die erste Einrichtung 31 implement iert, 
wobei als Eingangsgroften zur Errechnung der Redundanzen und 
somit zur Ermittlung der Residuen folgende Signale einge- 
setzt werden konnen: 

v vr - Radgeschwindigkeit vorne rechts; 

Vyi - Radgeschwindigkeit vorne links; "™ 
v hr - Radgeschwindigkeit hinten rechts; 
v hl - Radgeschwindigkeit hinten links und 
v ref - Fahrzeuggeschwindigkeit ; 

die mit der Teilfunktion des Antiblockiersystems erzeugt 
werden, sowie die Gierrate, die Querbeschleunigung und der 
Lenkwinkel, die von den drei zu uberwachenden ESP-Sensoren 
13, 14 bzw. 15 stammen. Die errechneten Redundanzen liegen 
zusammen mit dem jeweils zu uberwachenden Sensorsignal an 
der dritten Einrichtung 36 zur Residuenbildung und - 
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auswertung (die in dieser Darstellung auch die zweite Eir.- 
richtung 33 umfalit) an. Nach Dif f erenzbildung zwischen den 
jeweiligen Residuum und dem durch die vierte Einrichtung 35 
erzeugten Schwellwert wird mit der flinften Einrichtung 3" 
die Fehlermeldung F/UG fur den Gierratensensor 13, F/UQ fur 
den Querbeschleunigungssensor 14 bzw. F/UL fiir den Lenkwir.- 
kelsensor 15 erzeugt, wenn die Differenz einen bestimmter. 
Wert ubersteigt. In Figur 4 sind die dritte, vierte und 
funfte Einrichtung 36, 35, 37 fur jeden Sensor 13, 14, 15 
getrennt dargestellt. 

Die Prufung der Signalzuverlassigkeit erfolgt bei den mit 
dem Antiblockiersystem erzeugten Signalen durch das dort 
bestehende Oberwachungssystem. Tritt keine Fehlermeldung 
auf, werden die Signale als zuverlassig und bei einer Feh- 
lermeldung als nicht einsetzbar eingestuft. 

Im Falle der drei oben genannten ESP-Sensorsignale 
(Gierrate, Querbeschleunigung, Lenkwinkel) wird bei dem 
hier beschriebenen Sensoruberwachungssystem das betreffende 
Signal als zuverlassig eingestuft, wenn keine Fehlermeldung 
vorliegt, und das System wird stillgelegt, wenn eine Feh- 
lermeldung auf tritt. 

Wie oben bereits erwahnt wurde, ist die Methode 
"Ma joritatsprinzip" empfindlich gegenuber einem Sensorfeh- 
ler, wenn ein Sensor defekt ist, wahrend die Methode 
"Minimum of all" robuster gegenuber einer Systemstorung una 
einem instationaren bzw. extremen Fahrverhalten ist. Das 
letzten Abschnitt vorgestellte Oberwachungskonzept wird v:ie 
folgt umgesetzt: 
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Wenn die Anzahl der giiltigen Modelle kleiner als drei ist, 
wird das Residuum nach dem Prinzip "Minimum of all" er- 
zeugt . Andernfalls wird das Residuum nach dem 
"Ma joritatsprinzip" gebildet . 

Theoretisch gelten alle diese ProzeBmodelle nur im statio- 
naren beziehungsweise linearen Bereich der Fahrdynamik. 
Wenn die Fahrverhalten nicht mehr in diesem Bereich liegen, 
mussen sowohl die Oberwachungsschwellen erhoht, als auch 
die Oberwachungszeiten verlangert werden. Dies erfolgt 
durch eine Situationserkennung in der vierten Einrichtung 
(Schwellwertberechnung) 35 sowie eine Feststellung des Gra- 
des der Abweichung des Fahrverhaltens von dem stationaren 
beziehungsweise linearen Bereich (vgl. Figur 4) . Die dazu 
verwendeten Signale sind: die Fahrzeuggeschwindigkeit v re f, 
die vier Radgeschwindigkeiten v vr , v v i, v hi/ v hr , die Fahr- 
zeuglangsbeschleunigung a if die ebenfalls aus der Teilfunk- 
tion ABS entstanden ist und dort gepruft wird, sowie die 
errechneten Redundanzen und die anderen ESP-Sensorsignale . 

Diese Oberwachungsschwellen und -zeiten werden durch Unter- 
suchungen des Fahrzeugverhaltens bei verschiedenen Fehler- 
arten in verschiedenen Fahrsituationen ermittelt bzw. fest- 
gelegt. Bei einer erkannten Anderung des Gierratensensorsi- 
gnals mit groftem Gradienten, die keines der moglichen Fahr- 
manover betrifft, wird die Oberwachungszeit deutlich ver- 
kurzt . 

Die Anpassung der Oberwachungsschwellen und -zeiten ist in 
vereinf achter Form in Tabelle 2 zusammengef alit : 
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Tabelle 2: 


Tabelle 2: Uberwachungsschwellen und -zeiten 

Fahrsituation 

Genauigkeit der 
ProzeBmodelle 

Uberwachungs- 
schwelle 

Uberwachungszeit 




Fehler mit 
hohem Gradient 

sonst 

stat ion a re Fahrten: 
Geradeausfahrt und 
stalionare Kreisfahrt 

sehr genau 

klein 

sehr kurz 

kurz 

instationare Fahrten, 

deren Fahrverhalten 

in der Nahe vom sla- 
tionaren bzw. linearen 

nicht genau 

groB 

sehr kurz 

lang 


WO 00/46087 


PCT/EP00/00538 


- 26 - 


Bereich liegen,z. B. 
Wechselmanover 





Fahrverhalten, die 

nicht darstellbar 

unendlich groB 

unendlich lang 

sehr weit vom slatio- 


(keine Uberwa- 

(keine Uberwachung) 

naren bzw. linearen 


chung) 


Bereich liegen,z. B. 




Schleudermanover 





Die Struktur der Hardware-Realisierung ist in Figur 5 dar- 
gestellt. Diese Struktur umfaftt ein Mikroprozessorsystem 
40, dessen Ausgangssignale einer Einheit 41 zum Bremsen- 
oder Motoreingrif f zugefiihrt wird. 

Das Mikroprozessorsystem 40 umfaflt einen Analog/Digital- 
Wandler 401 zur Wandlung der analogen Sensorsignale und ei 
nen daran angeschlossenen digitalen Regelalgorithmus 402, 
an den ein Digital/Anaiog-Wandler 403 zur Erzeugung der 
analogen Ausgangssignale angeschlossen ist. Die digitalen 
Sensorsignale werden aufterdem einem Oberwachnungssystem 404 
zugefiihrt, an dem auch die von dem digitalen Regelalgorith- 
mus 402 erzeugten SystemgroBen anliegen und das dieser Ein- 
heit 402 eine Fehlermeldung ubermittelt. 
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Das ESP-System, das sowohl den digitalen Regelalgorithmus , 
als auch den Uberwachungssystem umfafit, wird vorzugsweise 
in C-Sprache programmiert und anschlieftend auf dem Mikro 
prozessorsystem 40 implementiert . Die Eingangssignale des 
Mikroprozessorsystems 40 sind die durch die im Fahrzeug 42 
eingebauten Sensoren 4 3 erzeugten Signale. Die Ausgangs- 
signale des Mikroprozessorsystems 40 sind die Stellgrofter., 
die zur Steuerung des Bremsen- oder Motormanagementsystems 
41 gefuhrt werden. Das Uberwachungssystem 4 04 lauft paral- 
lel zu einem Regelsystem,. uberwacht das Gesamtsystem und 
beeinfluftt daher die Regelung nicht, wenn keine Fehler 
festgestellt werden. Wenn ein Fehler entdeckt wird, sender 
das Uberwachungssystems 404 eine Fehlermeldung an den digi- 
talen Regelalgorithmus 402, der damit das ESP-System deak- 
tiviert . 

Das Uberwachungssystem wurde mit zahlreichen Fahrversuchen 
getestet. Als Beispiel sind in den Figuren 6a, b, c die Me- 
Bergebnisse von zwei Testfahrten gezeigt, und zwar das Er- 
gebnis einer Fehlersimulation des Gierratensensors bei Ge- 
radeausfahrt . Figur 6a zeigt das Signal des Gierratensen- 
sors (Linie 1) sowie seine vier Nachbildungen (Linien 2 bis 
5) . Figur 6b zeigt den Verlauf des Residuums (Linie 1) und 
die Schwelle (Linie 2 und 3). In Figur 6c ist schlielilich 
dargestellt, wann eine Fehlermeldung ausgelost wird. 

Aus diesen Darstellungen wird deutlich, daft die Gierrate 
sehr genau beschrieben werden kann. Der simulierte Fehler 
wurde innerhalb von 0,25 Sekunden erkannt, bevor die Gier- 
momentregelung mit hohem Druck auf ein Rad einwirkte. 
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Die Figuren 7a, b, c zeigen schliefllich die MeJiergebnisse 
einer Oberwachung des Gierratensensors bei einer Fahrt mit 
einem Wedelmanover . Wahrend eines solchen Wedelmanovers 
kann die Gierrate wegen der Phasenverschiebung zwischen dem 
Sensorsignal und den Modellsignalen nicht genau beschrieben 
werden. In diesen Situationen lalit sich eine solche Model- 
lungenauigkeit bei einer Modellbildung generell nicht ver- 
meiden. Urn zu verhindern, daft ein falscher Alarm ausgelost 
wird, wird deshalb die Oberwachungschwelle schon am Anfang 
des Wedelns erhoht. Figur 7a zeigt wiederum das Signal des 
Gierratensensors (Linie 1) sowie seine vier Nachbildungen 
(Linien 2 bis 5). In Figur 7b sind der Verlauf des Residu- 
ums (Linie 1) und die Schwelle (Linie 2 und 3) dargestellt, 
wahrend sich aus Figur 7c ergibt, daft keine Fehlermeldung 
ausgelost wurde* 

Insgesamt wird also. .ein Verfahren und.. eine Vorrichtung zur .. 
Sensoruberwachung bei einem ESP-System beschrieben, bei dem 
der Kern in einer mehrf achmodellgestiitzten Erzeugung von 
Residuen besteht, deren Entwicklung in erster Linie unter 
Berucksichtigung der Fahrdynamik und der praktischen Reali- 
sierbarkeit und Einsetzbarkeit erfolgt. Mit der Sensoruber- 
wachung konnen Sensorfehler und insbesondere solche mit 
grofiem Gradient wahrend der Fahrt entdeckt werden. Das 
Oberwachungssystem bietet eine hohe Zuverlassigkeit , da es 
einerseits gegen Modellungenauigkeiten eine hohe Robustheit 
und andererseits fur Sensorfehler eine hohe Empf indlichkeit 
aufweist . 
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Paten tanspruche 

1- Verfahren zur Oberwachung von Sensoren, die jeweils 
einzelne Prozefif iihrungs- oder Prozeftmeflgr51ien eines 
Prozesses erfassen, 

gekennzeichnet durch eine zyklisch-sequentielle Ober- 
wachung des Verlaufes der Ausgangssignale der einzel- 
nen Sensoren mit folgenden Schritten: 

Erstellen analytischer Redundanzen ( y ) fur eine 
aktuell zu uberwachende Prozefifuhrungs- oder Prozefi- 
mefigrofie (C) aus aktuell nicht zu Uberwachenden Pro- 
zeflfiihrungs- und/oder ProzefimeBgroJJen (A, B) eines 
aktuell betriebenen Prozesses (32) mittels eines 
Mehrfachprozeftmodells (31; G1-G4; Q1-Q4; L1-L4) fur 
einen Normalbetrieb, 

Erzeugen von Residuen (r) durch Subtraktion der er- 
stellten, redundanten analytischen Redundanzen {y) 
von der aktuell zu uberwachenden Prozefifuhrungs- oder 
Prozefimefigrofte (C) , 

Auswerten der Residuen (r) mit einer Residuenauswer- 
tefunktion und 

Vergleichen des ausgewerteten Residuums mit einem 
vorgegebenen Schwellwert und Erzeugen einer Fehler- 
meldung (F) , wenn das Residuum den Schwellwert fur 
mindestens eine vorbestimmte Oberwachungszeit er- 
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reicht . 

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet , 
daft der Prozeli ein Teil eines elektronischen Fahrsta- 
bilitatsprogramms (ESP) fur Fahrzeuge ist und die zu 
uberwachenden ProzeBf uhrungs- und ProzeBmeBgrofien (A, 
B, C) eine Gierrate, eine Querbeschleunigung und ein 
Lenkwinkel sind. 

3. Verfahren nach Anspruch 2, dadurch gekennzeichnet, 
daft das Verfahren parallel zu dem elektronischen 
Fahrstabilitatsprogramms (ESP) ablauft und dieses de- 
aktiviert, wenn die Fehlermeldung (F) erzeugt wird. 

4. Verfahren nach einem der Ansprtiche 1 bis 3, dadurch 
gekennzeichnet , daft das Mehrf achprozeBmodell aus ei- 
ner Mehrzahl von Teilmodellen (G1-G4; Q1-Q4; L1-L4) 
gebildet wird, mit denen jeweils die zu iiberwachende 
ProzeBf uhrungs- oder ProzeBmeBgroBe (C) aufgrund von 
physikalischen Gesetzm^Bigkeiten mit Hilfe anderer 
physikalischer Gr6Ben, wie den nicht zu uberwachenden 
ProzeBfuhrungs- oder ProzeBmeBgroBen (A, B) , den Rad- 
drehgeschwindigkeiten (v vl , v vr , v hi , v hr ) , dem Rad- 
stand (1), der Spurweite (S) sowie der Geschwindig- 
keit eines Fahrzeugs (v ref ) , die ebenfalls aus den 
vier Radgeschwindigkeiten ermittelt wird, rekonstru- 
ierbar ist. 

5. Verfahren nach einem der Anspruche 1 bis 4, dadurch 
gekennzeichnet, daB die Residuenauswertef unktion bei 
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einem instationaren, durch eine starke Modellungenau- 
igkeit gepragten Prozelizustand durch einen Algorith- 
mic nach einem "Minimum of all"-Prinzip gebildet 
wird, bei dem das kleinste aller erzeugten Residuen 
mit dem Schwellwert verglichen wird, und bei einem 
stationaren, durch eine geringe Modellungenauigkeit 
gepragten Prozelizustand ein Algorithmus nach einem 
"Majoritatsprinzip" vorgesehen ist, bei dem ein Mit- 
telwert der analytischen Redundanzen gebildet und zur 
Erzeugung des mit dem Schwellwert zu vergleichenden 
Residuums diejenige analytische Redundanz verwendet 
wird, die die mittlere von drei Redundanzen mit den 
geringsten Abweichungen vom Mittelwert ist. 

6. Verfahren nach Anspruch 5, dadurch gekennzeichnet, 
daft in dem Fall, in dem die Anzahl der gultigen Mo- 
delle kleiner als drei ist, das Residuum nach dem - 
Prinzip "Minimum of all" und andernfalls das Residuum 
nach dem "Majoritatsprinzip" gebildet wird. 

*7. Verfahren nach einem der vorhergehenden Anspriiche, 
gekennzeichnet durch den Schritt des Berechnens und 
Anpassens der Schwellwerte in Abhangigkeit von einem 
Prozelizustand anhand der nicht zu uberwachenden Pro- 
zeiifuhrungs- und der Prozeftmeftgrofcen (A, B) sowie der 
Raddrehgeschwindigkeiten (v vl , v vr , v h i, v hr ) und der 
Fahrzeuggeschwindigkeit (v ref ) in der Weise, daft ei- 
nerseits beim Auftreten eines unplausiblen Sensorsi- 
gnals rechtzeitig eine Fehlermeldung ausgeldst und 
andererseits falsche Fehlermeldungen aufgrund einer 
groften Modellungenauigkeit vermieden werden. 
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8. Verfahren nach einem der vorhergehenden Anspriiche, 
dadurch gekennzeichnet , daft die Uberwachungszeiten 
adaptiv an den aktuellen Prozefizustand angepafit und 
so gewahlt werden r dali eine kurzzeitige Storung eines 
Sensors toleriert wird. 

9, Vorrichtung zur Oberwachung von Sensoren, die jeweils 
einzelne ProzefJf uhrungs- oder ProzeJlmefigroBen eines 
Prozesses erfassen, 

gekennzeichnet durch eine erste Einrichtung (31) zur 
Berechnung analytischer Redundanzen fur eine aktuell 
zu uberwachende Prozeftf uhrungs- oder ProzeBmeilgrofie 
(C) aus aktuell nicht zu iiberwachenden ProzefifUh- 
rungs- und/oder Prozeftmefigroften (A, B) eines aktuell 
betriebenen Prozesses (32) mittels eines Mehrfachpro- 
zelimodeTls' (GT-G4; Q1-Q4; L1-L4) ftir einen Normalbe- 
trieb, 

eine zweite Einrichtung (33) zur Erzeugung von Resi- 
duen (r) durch Subtraktion der errechneten, redundan- 
ten analytischen Redundanzen von der aktuell zu Uber- 
wachenden Prozefif uhrungs- oder ProzeBmeligroBe (C) , 

eine dritte Einrichtung (36) zur Auswertung der Resi- 
duen mit einer Residuenauswertef unktion, 

eine vierte Einrichtung (35) zur Erzeugung eines 
Schwellwertes, sowie 
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eine funfte Einrichtung (37) zum Vergleichen des aus- 
gewerteten Residuums (r) mit dem Schwellwert und zum 
Erzeugen einer Fehlermeldung (F) , wenn das Residuum 
den Schwellwert far mindestens eine vorbestimmte 
Uberwachungszeit erreicht. 

10. Vorrichtung nach Anspruch 9, dadurch gekennzeichnet , 
daft der vierten Einrichtung (35) die aktuell nicht zu 
uberwachenden Prozelif uhrungs- und/oder Prozefimeiigro- 
ften (A, B) zugefuhrt werden, urn mit Hilfe einer Si- 

■ tuationserkennung den Schwellwert bei einer relativ 
hohen Ungenauigkeit des Mehrfachprozeflmodells anzuhe- 
ben und bei einer relativ geringen Ungenauigkeit des 
Mehrf achprozefimodells abzusenken . 

11. Vorrichtung nach Anspruch 9 oder 10, dadurch gekenn- 
zeichent, dafi die erste bis funfte Einrichtung durch 
ein Mikroprozessorsystem (40) realisiert ist. 


ESP-System fur Fahrzeuge, gekennzeichnet durch eine 
Vorrichtung nach einem der Anspruche 9 bis 11 zur zy- 
klischen Oberwachung eines Gierratensensors (13), ei- 
nes Querbeschleunigungssensors (14) und eines Lenk- 
winkelsensors (15) . 
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